Cybellumの代替ツール

CRACIを開発しているのは当社ですので、その点を考慮してお読みください。各選択肢はそれぞれのドキュメントに基づいて説明し、 他のツールのほうが適している場合はそのように記載しています。

チームがCybellum以外を検討する理由

Cybellumは、自動車、医療、産業分野のデバイスメーカー向けの製品セキュリティプラットフォームです。同社のCyber Digital Twinsは 「あらゆる製品やコンポーネントのバイナリファイルから抽出できる」とされ、プラットフォームはそれをソースコードや 「SPDX、CycloneDX、CPEのCSV形式」のSBOMと統合します。出荷後のバージョンとブランチを監視し、AIアシスタントでトリアージを行い、 「新たな脆弱性や規制の影響を受ける製品やコンポーネント」を示し、PSIRTに「調査を作成・管理するためのワークベンチ」を提供し、 「VEX/CSAFレポート」で状況を共有します。規制テンプレートはFDA PMA、ISO 21434、EU CRAに対応しています。2021年にLG Electronicsが 過半数の株式を取得しました。

それでもチームが代替ツールを比較するのは、主に次のような理由からです。

• ソフトウェアの大半が自社製。 バイナリ解析は成果物から逆算する手法です。自社でソフトウェアやイメージを ビルドしているチームは、代わりにそこに何が組み込まれたかを記録できます。
• 用途がより限定的。 包括的な製品セキュリティプラットフォームではなく、ファームウェア解析だけ、SBOMの 一元管理システムだけ、あるいはアドバイザリの受付とケース対応だけを必要とするチームもあります。
• 業界との適合性。 Cybellumのテンプレートは自動車と医療の規制に重点を置いています。特定の業界向けに 作られたツールを求めるチームもあれば、そうでないツールを求めるチームもあります。
• 料金とホスティング。 Cybellumは料金を公開しておらず、自社で運用できるオープンソースの基盤を 求めるチームもあります。

PSIRTが確認すべきポイント

• 出荷物のインベントリ：バイナリから作成するのか、提供されたSBOMから作成するのか、ビルドから作成するのか。
• 影響を受ける製品とバージョン：「このコンポーネントをどこで出荷しているか」にツールがどれだけ速く答えられるか。
• リリース後の監視と、監視対象の脆弱性フィード。
• トリアージ：悪用可能性のシグナル、VEX、そして各検出結果を修正を担当するチームへ振り分ける仕組み。
• アドバイザリとレポート：顧客に公開できる内容と、Cyber Resilience Actが求めるエビデンス。
• CIへの対応範囲、ホスティングの選択肢、料金の拡張性。

プロセスそのものについては、PSIRTの役割と PSIRTツールの比較をご覧ください。

選択肢

1. CRACI（当社製品）

CRACIは、ビルドの実行中にSBOMを生成するGitHub Actionsランナーです。自社でソフトウェアやファームウェアをビルドするチーム向けです。 パッケージを認識するプロキシが、各ジョブがパッケージホストやソースホストから取得するものを記録します。CIキャッシュから復元された パッケージも含まれ、各SBOMはジョブごと・キャッシュごとに完全性を明示します。Yoctoビルドは最大32 vCPU、96 GBのRAMを備えた ランナーで実行されます。core-image-satoのビルドを並べて比較したところ、 CRACIのSBOMにはYocto自身のSBOMにあるすべてのコンポーネントに加えて、ホストパッケージやGitHub Actionsなど、Yoctoが見落とした 88個のコンポーネントが含まれ、YoctoがパッケージURLなしで記載している653のRustクレートバージョンすべてにパッケージURLが 付与されていました。

PSIRTにとってのメリットとして、CRACIは過去のすべてのビルドをSBOMとともに保持するため、どのビルドに脆弱な依存関係が どれだけの期間含まれていたかを確認できます。インベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかがわかります。 監視対象のSBOMを継続的に再評価し、VEXに対応し、セキュリティチームが検出結果をトリアージして修正を担当するチームに 振り分けられます。ベンダーのSBOMを追加できるため、購入したコンポーネントも自社のビルドと並べて監視されます。CRACIは ジョブそのものを実行するため、フェイルクローズで動作するエグレスポリシーも適用します。

最適な用途：自社のソフトウェアとイメージをGitHub Actionsでビルドし、ビルド、SBOM、脆弱性トラッキングを 1か所にまとめたいメーカー。次の場合に検討：バイナリ解析、ゼロデイの検出、到達可能性、規格に対するガイド付き チェックがなくても問題ない場合。これらはいずれもCRACIにはなく、自社でビルドしていないファームウェアの中身は見えません。 対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。CRACI vs Cybellum

2. ONEKEY

ONEKEYは「ソースコードもネットワークアクセスも不要」でコンパイル済みファームウェアを解析します。バイナリからSBOMを生成し、 サプライヤーのSBOMを取り込み、CycloneDXとSPDXでエクスポートし、ハードコードされた認証情報などのゼロデイの可能性を探し、 ファームウェアを毎日再解析します。Compliance Wizardは、CRA、IEC 62443-4-2、ETSI EN 303 645、無線機器指令（Radio Equipment Directive）への対応を ステップごとに案内します。

最適な用途：自社でビルドしていないファームウェアイメージを、規格に対するガイド付きチェックとともに確認したいデバイスメーカー。 次の場合に検討：自動車や医療の規制テンプレートなしでイメージ解析を利用したい場合。 CRACI vs ONEKEY

3. Finite State

Finite Stateは、「50以上のバイナリ命令セットアーキテクチャに対応」してファームウェア、バイナリ、ソースコード、サプライヤーのSBOMを 解析し、1つの製品レコードにまとめます。到達可能性、エクスプロイトインテリジェンス、製品のコンテキストで検出結果を順位付けし、 VEXの判断を記録します。コンプライアンスワークフローは、CRAの管理策マッピングと、SBOMおよびVEXの成果物を含む監査対応レポートを カバーします。GitHub Actions、GitLab CI、Jenkinsにチェックを組み込めます。

最適な用途：多数のサプライヤーのファームウェアを解析する必要があり、到達不能な検出結果によるノイズを減らしたい コネクテッドデバイスメーカー。次の場合に検討：PSIRTが到達可能性をトリアージの基準にしている場合。 CRACI vs Finite State

4. NetRise

NetRise Turbineはコンパイル済みコードを解析し、デバイス上で「実際に実行されるソフトウェアについて正確なSBOMを作成し、 その中のリスクを明らかに」します。脆弱性は到達可能性と悪用可能性で優先順位付けされます。NetRise Provenanceは、 オープンソースコンポーネントの出自、メンテナー、リポジトリの健全性を調べます。2026年9月21日にDragosがNetRiseを買収し、 運用技術（OT）のフリート向けに位置付けています。

最適な用途：デバイス上で何が動いているかを把握する必要がある、製品セキュリティ、サードパーティリスク、 インシデント対応のチーム。特に産業分野や重要インフラ向け。次の場合に検討：見積もりベースの購入で 問題ない場合。NetRiseは料金を公開しておらず、2026年9月からDragosの一部となっています。

5. Cybeats

Cybeats SBOM Studioは、製品やサプライヤーをまたいでSBOMの取り込み、管理、監視、共有を行う一元管理システムです。取り込み時に SBOMの品質をスコアリングし、SBOMとVEXを顧客と共有します。SBOMの生成とバイナリコンポジション解析については、Cybeatsは Marketplaceのベンダーを案内しています。RAVENアドオンは到達可能性を推論し、VEXの草案を作成します。

最適な用途：多数の製品とサプライヤーにまたがるSBOMプログラムを運用する医療、産業、通信分野のメーカー。 次の場合に検討：SBOMを生成する手段がすでにある場合。SBOM Studioは、別のツールが生成したSBOMを管理します。 CRACI vs Cybeats

6. Medcrypt

Medcryptは医療機器メーカーに特化しています。Helm製品はSBOMと脆弱性の管理を担います。「SBOM（CycloneDXまたはSPDX）を アップロードするか手動で作成」するか、API、GitHub Action、Azure DevOps連携を通じてHelmをパイプラインに接続します。Helmは EPSS、CISA KEV、ExploitDB、Metasploitを使って脆弱性を順位付けし、修正情報の到着に応じて再スコアリングし、SBOM、VDR、VEXを エクスポートします。Medcryptは脅威モデリングのレビューやFDA申請の支援などのサービスも提供しています。

最適な用途：FDAの市販前申請を準備し、市販後の脆弱性管理を運用する医療機器メーカー。 次の場合に検討：製品が医療機器以外である場合や、Medcryptが記載していないバイナリ解析が必要な場合。

7. DefectDojo

DefectDojoはオープンソースの脆弱性管理プラットフォームで、「500以上の連携」から検出結果を取り込み、重複を排除し、 修正状況を追跡します。DefectDojo Proに含まれるPSIRT Advisory Engineは、CISA、NVD、EUVDのほか十数を超えるフィードから アドバイザリを取り込み、SBOMデータと照合し、CVSS、EPSS、KEVでスコアリングし、一致したものを担当者付きのケースにまとめ、 自社ブランドのPDFアドバイザリを生成します。Proはクラウドでもセルフホストでも運用できます。

最適な用途：オープンソースの脆弱性管理基盤で、アドバイザリの受付、ケース対応、SLA追跡を行いたいPSIRT。 次の場合に検討：照合するSBOMがすでにある場合。DefectDojoはSBOMの生成もバイナリ解析も行いません。 Community Editionは無料で、Proは月額$100に加えて検出結果1件あたり15セントです（2026年10月時点）。

8. Exein

Exeinはデバイス上とファームウェアの両方で機能します。Exein RuntimeはeBPFを使って組み込みLinux上の悪意ある振る舞いを 監視・ブロックし、オープンソースのmeta-exein YoctoレイヤーがPulsarエージェントをイメージに組み込みます。 Exein Analyzerはリリース前のファームウェア（バイナリがない場合はSBOM）を検査し、到達可能性スコアリングとLLMによる フィルタリングで検出結果を順位付けし、CRAの要件にマッピングします。

最適な用途：ファームウェア解析に加えて、現場での保護も求める組み込みLinuxメーカー。 次の場合に検討：デバイスにエージェントを搭載して出荷することに抵抗がない場合。 CRACI vs Exein

9. Timesys Vigiles

現在Lynx Software Technologiesが販売するVigilesは、YoctoまたはBuildrootのビルドのメタデータをSBOMに変換し、 キュレーションされたCVEデータベースと照合します。チームは各CVEについて、影響あり、修正済み、延期、悪用不可のいずれかを記録し、 Vigilesはその判断をリリースごとに保持します。SBOMをVEXや脆弱性レポートとともにエクスポートできます。

最適な用途：YoctoやBuildrootのイメージでCVEのノイズを減らしたい組み込みLinuxチーム。 次の場合に検討：製品が組み込みLinuxでビルドされていない場合。 CRACI vs Timesys Vigiles

並べて比較

「Medcrypt Helm」はMedcryptのSBOMおよび脆弱性管理製品、「NetRise」はNetRise Turbine、「Cybeats」はSBOM Studioを指します。 Timesys Vigilesは上記で説明しており、表には含めていません。「記載なし」は、その機能がベンダーのドキュメントに 記載されていないことを意味し、機能がないことを意味するものではありません。

Cyber Resilience Actへの対応

Cybellum、ONEKEY、Finite State、DefectDojo、ExeinはいずれもCRAへの対応を謳っています。CRAの報告義務は2026年9月11日から 適用されており、主要な規定は2027年12月11日から適用されます。24時間以内の早期警告は、影響を受けるコンポーネントを含む リリースをすばやく特定できるかどうかにかかっています。自社でビルドするソフトウェアについて、CRACIは各ビルドのSBOMとともに ビルド履歴を保持するため、脆弱な依存関係を含んでいたビルドを確認できます。APIからSBOM、ネットワークトレース、来歴を取得でき、 SBOMはCycloneDXまたはSPDXでエクスポートでき、CRACIはCRAの通知の内容を準備し、提出はお客様が行います。

このページのどのツールも、単独でメーカーをコンプライアンスに適合させるものではありません。CRAの 要件とCRAコンプライアンスツールの比較をご覧ください。

Cybellumを使い続けるべき場合

• ファームウェアの多くがサプライヤーからバイナリで提供され、その中身を確認する必要がある。
• バイナリ、ソースコード、サプライヤーのSBOMを、製品・バージョンごとに1つの検証済みSBOMに統合したい。
• PSIRTが1つのワークベンチで調査を行い、VEXやCSAFのレポートで状況を共有している。
• FDA PMA、ISO 21434、EU CRA向けのテンプレートに依存している、または自社のデータセンターで運用する必要がある。

詳しくは、PSIRTチーム向けのCRACI、 組み込みセキュリティツールの比較、 Finite Stateの代替ツールをご覧ください。

Cybellumの代替ツールに関するよくあるご質問

比較検討の際によく寄せられる質問への簡潔な回答

Cybellumの代替として最適なツールは何ですか？

PSIRTが最も必要としているものによって異なります。ファームウェアバイナリの解析なら、ONEKEY、Finite State、NetRiseを検討してください。製品やサプライヤーをまたいでSBOMを一元管理するシステムなら、Cybeatsです。医療機器とFDAへの申請なら、Medcryptです。オープンソースの脆弱性管理基盤でアドバイザリの受付とケース対応を行うなら、PSIRT Advisory Engineを備えたDefectDojoです。デバイス上の保護も必要なら、Exeinです。自社ソフトウェアをGitHub Actionsでビルドしている場合、CRACIは各ビルドからSBOMを記録し、脆弱性を監視します。

CRACIはCybellumのようにファームウェアバイナリを解析できますか？

いいえ。CRACIはバイナリやファームウェアイメージを解析せず、ゼロデイ脆弱性の探索も行いません。CRACIのGitHub Actionsランナー上で実行される自社ビルド（Yoctoビルドを含む）が取得するものを実行中に記録し、その記録からSBOMを生成します。バイナリとして受け取るファームウェアについては、ベンダーのSBOMをCRACIに追加すればそのコンポーネントを監視できますが、SBOMがない場合はバイナリ解析ツールが必要です。

新しいCVEがどの製品に影響するかをPSIRTに示せるのは、どのツールですか？

ほとんどのツールが、それぞれ異なる入力をもとに対応しています。Cybellum、ONEKEY、Finite State、NetRiseは、出荷するバイナリの解析を起点とします。Cybeats、Medcrypt Helm、DefectDojoは、提供されたSBOMと照合します。CRACIは各ビルドが取得したものの記録を起点とします。ビルド履歴から、脆弱な依存関係（直接・推移的を問わず）を含んでいたビルドがわかり、インベントリビューから、どのソフトウェアバージョンがどの製品にデプロイされているかがわかります。

Cybellumの無料の代替ツールはありますか？

DefectDojoのCommunity Editionは無料のオープンソースで、他のスキャナーの検出結果を集約し、重複を排除します。アドバイザリをSBOMデータと照合してケースにまとめるPSIRT Advisory Engineは、DefectDojo Proに含まれます。どちらのエディションもファームウェアバイナリは解析しません。

ビルド時SBOMは、バイナリ解析によるSBOMより優れていますか？

自社でビルドするソフトウェアについては、ビルド時SBOMは成果物から推測するのではなく、実際に組み込まれたものを記録します。RustやCのようなコンパイル済みコードでは、推測は困難です。一方、自社でビルドしていないファームウェアについては、バイナリ解析が依然として唯一の選択肢です。core-image-satoのビルドを並べて比較したところ、CRACIのSBOMにはYocto自身のSBOMにあるすべてのコンポーネントに加えて、Yoctoが見落とした88個のコンポーネントが含まれ、YoctoがパッケージURLなしで記載している653のRustクレートバージョンすべてにパッケージURLが付与されていました。